🇰🇷 한글 설명
Seanime v3.7.0에서 v3.10.3 버전 사이에서 인가 미흡으로 인한 인자 주입(Argument Injection) 취약점이 발견되었습니다. 공격자는 인증되지 않은 상태로 LAN 또는 Tailnet 클라이언트를 통해 ffmpeg 인자에 임의의 값을 주입할 수 있으며, 이를 통해 호스트 시스템에 파일을 쓰거나 자르는 등의 동작을 수행할 수 있습니다. 또한 ffmpeg의 프로토콜 핸들러를 이용해 로컬 파일을 읽거나 데이터를 외부로 유출할 수도 있습니다.
💡 쉬운 설명
프로그램 설정값에 악의적인 명령어를 몰래 끼워 넣어 시스템을 조작할 수 있는 보안 약점입니다. 이를 통해 해커가 서버의 파일을 마음대로 수정하거나 중요한 정보를 훔쳐갈 위험이 있습니다.
🇺🇸 원문 (English)
Seanime v3.7.0 to v3.10.3 contains an argument injection vulnerability reachable through improper authorization, allowing unauthenticated LAN or Tailnet clients to bypass the privileged mediastream settings guard by setting transcodeHwAccel to custom and supplying attacker-controlled decodeFlags and encodeFlags via the transcodeHwAccelCustomSettings field, which are appended verbatim to the ffmpeg argument vector. Attackers can trigger execution via the mediastream request and HLS playlist endpoints to achieve arbitrary file write and file truncation on the host as the user running seanime, with the injected input options also enabling potential arbitrary local file read and outbound data exfiltration through ffmpeg's protocol handlers.
📍 영향받는 시스템
Seanime v3.7.0 ~ v3.10.3
⚔️ 공격 벡터
인증되지 않은 클라이언트가 mediastream 또는 HLS 엔드포인트를 통해 조작된 transcodeHwAccelCustomSettings 값을 전송
🛡️ 대응 방법
Seanime를 최신 보안 패치가 적용된 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 버전이 v3.7.0 미만이거나 v3.10.3 초과인지 확인하여 취약 여부를 판단합니다.
python3 -c "import pkg_resources; print(pkg_resources.get_distribution('seanime').version)" 2>/dev/null || echo 'not installed'